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I PROCEDE ET DISPOSITIF D'ANALYSE DES DEFAUTS DE FONCTIONNEMENT D'UN SYSTEiVIE EMBARQUE 
A BORD D'UN VEHICULE AUTOIVIOBILE. 



[57) Ce precede est caracterise en ce qu'il connporle les 
etapes suivantes: analyse cyclique (en 11 , 12) du fonction- 
nement du systeme, memorisation (en 13) d'un defaut 
sous la fomrie d'un defaut non confimi6, d6clenchement 
(en 14) d'une strategie preventive de secours, surveillance 
(en 1 5) du contact du vehicule, analyse (en 1 7) du fonction- 
nement du systeme, memorisation (en 18) d'un d6faut vali- 
de, et declenchement (en 20) d'une strategie de secours 
apres validation. 
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La pr6sente invention concerne un proc^dd et un 
dispositif d' analyse des defauts de f onctionnement d'un 
systeme embarqu^ a bord d'un vehicule automobile. 

Actual lement, lorsqu'un ou plusieurs organes d'un 
systtoe complexe exnbarquS ^ bord d'un vehicule automobi- 
le, tel que par exemple une unit^ de traitement d* infor- 
mations associ&e k des capteurs, deviennent defectueuK, 
le syst^e dans son ensemble est mis hors service. 

On conceit que ceci presente un certain nombre 
d ' inconv6nients pour le bon f onctionnement du reste du 
vdhicule* 

Le but de 1' invention est done de r^soudre ces 
problemes en proposant un proc6d6 et un dispositif qui 
permettent de conserver le plus longtemps possible au 
moins une partie des fonctionnalit^s associees au syst^me 
en avertissant ou non 1 'utilisateur du vehicule. 

Une mise hors service du systeme n^est alors 
admise que si la security des occupants du v^icule est 
mise en Jeu et une action n'est entreprise que si un 
defaut de fonctionnement de ce systdme est parfaitement 
identifiS* 

A cet effet, 1' invention a pour objet un precede 
d' analyse des defauts de fonctionnement d'un systtoe 
embarqu^ d bord d'un vehicule automobile, caractSrisS en 
ce qu'il comporte les etapes suivantes : 

1) - analyse cyclique du fonctionnement du sys- 
teme pour d^tecter 1' apparition d'un defaut de fonction- 
nement de celui-ci, 

2) - mtoorisation du defaut sous la forme d'un 
ddfaut non confirm^, 

3) - declenchement d'une stratdgie preventive de 
secours sous la forme d'un fonctionnement dans un premier 
mode semi -degrade du systeme. 
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4) - surveillance du contact du vehicule pour 
ef facer le d6f aut non conf irm6 memorise en cas de coupure 
du contact^ 

5) - analyse du fonctionnement du syst6me pour 
5 transformer le d^faut non confirm^ en dSfaut valldd en 

cas de perslstance du d&faut ou effacer le defaut non 
conflrme en cas de disparltion de celui-ci, 

6) - memorisation du d6faut valid6, et 

7 ) - declenchement d ' une strat6gie de secours 
10 apres validation sous la forme d*un fonctionnement dans 

un second mode semi-dSgrad6 du syst^e. 

Selon un autre aspect, 1* invention a ^galement 
pour objet un dispositif d' analyse du fonctionnement d'un 
systeme embarqu^ ^ bord d'un vehicule automobile, pour la 
15 mise en oeuvre de ce procede. 

invention sera mieux comprise h I'aide de la 
description qui va suivre, donn6e uniquement ^ titre 
d*exemple et faite en se r^f^rant aux dessins annexes sur 
lesquels : 

20 " La figure 1 reprfesente un schema synoptique 

illustrant la structure g^n^rale d'un dispositif d' ana- 
lyse selon 1' invention ; 

- La figure 2 reprSsente un organigramme illus- 
trant' les diff&rentes etapes d'un proc6d6 d' analyse selon 

25 1' invention ; et 

- La figrure 3 repr^sente un organigramme illus- 
trant les diff6rentes 6tapes d'un procede d' analyse selon 
1' invention, applique S 1' analyse du fonctionnement d'un 
capteur de Vitesse d'un syst^e de suspension Slectroni- 

30 que d'un vehicule automobile. 

L' invention se rapporte done & un precede et k un 
dispositif d' analyse du fonctionnement d'un systeme em- 
barqu6 ^ bord d'un vehicule automobile, tel que celui 
d6sign6 par la r^f&rence g^nerale 1 sur la figure 1. 
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Ce systeme dont il y a lieu de surveiller le 
fonctionnement peut par exemple etre un systeme de sus- 
pension electronique d'un vehicule au-bomobile^ relle a 
una unite de traltexnent d ' informations designee par la 
r^fSrence g&nSrale 2 sur cette figure 1 qui sera 6gale- 
ment appelSe UC par la suite. Le syst^e regolt une 
information de vitesse du v6hicule, par exemple ^ partir 
d'un capteur de vitesse design^ par la reference generale 
3. 

On comprendra d la lecture de la description qui 
va sulvre, que le procSdS et le dlsposltif d' analyse 
selon 1' invention ne sont pas llmites S une telle appli- 
cation • 

On a en effet repr^sente sur la figure 2, un 
organigramme illustrant les dlff^rentes fonctions d'un 
pro-cSdd d' analyse selon 1' invention. 

Get organigramme debute par une 6tape dSsignSe 
par la rSf&rence gSnerale 10 de mlse en marche du vehicu- 
le. 

Ensulte est prevue une etape d' analyse cy clique 
du fonctionnement du systeme pour detecter 1 ' apparition 
d'un ddfaut de fonctionnement de celul-cl^ cette 6tape 
comport ant une premiere phase 11 de surveillance des 
d^fauts et une seconde phase 12 de detection d*une anoma- 
lle sur I'un des Elements du systtoe pour vallder ce 
d&faut sous la forme d'un defaut non confirme afin de le 
memoriser lors d*une etape 13. 

Cette etape 13 correspond en effet S une memori- 
sation d'un defaut detects sous la forme d'un dSfaut non 
confirm^. 

Ensulte, lors de I'dtape 14, on d^clenche une 
strategie preventive de secours SPDS sous la forme d'un 
fonctionnement dans un premier mode seml-degradd du 
syst&ne, qui sera decrit plus en detail par la suite. 
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Apres cette 6tape 14 de d^clenchement: de la stra- 
1:egie preventive de secours, on surveille, lors de 
l'6"tape 15, le contact du vehlcule pour ef facer, en 16, 
le dSfaut non confirm^, en cas de coupure du contact • Par 
contre, s'il n'y a pas de coupure du contact, on analyse, 
en 17, le fonctionnement du syst^e pour transformer le 
defaiit non confirme en d^faut vallde, en cas de persis- 
tence du d^faut, lors d'une etape 18, le defaut non 
confirm^ Stent alors memorise sous la forme d'un defaut 
valldS lors de cette Stape. 

Par contre, si le defaut disparalt et n'est pas 
valldd lors de cette Stape 17, on efface, lors de l*6tape 
19, le defaut non confirm^. 

Si le defaut non confiarme a 6t6 valid6 et memo- 
rise, lors de l'6tape 18, on dSclenche, en 20, une stra- 
tSgie de secours apr&s validation sous la forme d'un 
fonctionnement dans un second mode semi-dSgradd du sys- 
tdme, qui sera dScrit plus en detail par la suite. 

AprSs cette dtape 20 de d&clenchement de la stra- 
tegie de secours apres validation, on teste, en 21, le 
systSme pour determiner si le defaut est toujours present 
ou non. Si c'est le cas, en 22, on constate qu*un defaut 
validd est en memoire. Si ce n*est pas le cas, le dSfaut 
validd est transform^ en defaut fugitif, lors de 1' etape 
23, et memorise sous cette forme. Puis, en 24, on cree un 
compteur affects au d6f aut fugitif correspondant et on 
etablit celui-ci d une valeur X predSterminee • 

On notera d cet Sgard que l*6tape 12 de detection 
de I'anomalie peut Stre associSe & une etape de test, en 
25, pour determiner si le compteur correspondant est ou 
non S zero, et eventuellement a une etape 26 de decremen- 
tation de ce compteur, si celui-ci n'est pas ^ zero, k 
cheque coupure du contact du vehicule. 

Une autre fagon de faire consisterait e transfor- 
mer le defaut valide memorise de 1' etape 18 en defaut 
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fugitlf, si, ^ la suite d'une coupure et d*une remise du 
contact du v^hicule, ce defaut a disparu. 

On congoit alors que ce precede d ' analyse des 
de£auts de f onctionnement d'un systtoe embargu^ h bord 
d'un v&hicule automobile est bas6 sur une analyse en deux 
Stapes . 

La premi&re etape concerne la detection d'un 
defaut dit non confirme qui est un defaut 61^mentaire, 
c'est-^-dire I'anomalie la plus courte survenue ne per- 
mettant pas encore de dire que l*organe correspondant est 
rdellement dSfectueux. Ce dSfaut non confirm^ est pris en 
compte en tant que tel aprds avoir 6t6 detects et validd 
lors d'une premiere 6tape de validation, par application 
de critdres de detection tels que par exemple une durde, 
un nombre de kilometres parcourus, un niveau de tempera- 
ture, etc.,. • 

Une fois ce defaut detects, l*unit6 de traitement 
d ' informations UC peut appliquer une strategie dite 
preventive de secours qui est en fait un fonctionnement 
selon un premier mode semi-d6grade du systeme. Ce d6faut 
non confirm^ disparait alors a chaque coupure du contact 
ou lorsque les critSres de rehabilitation de I'organe 
sont remplis. 

La deuxiSme etape de ce procSde concerne le pas- 
sage de ce defaut du statut non confirme ^ un statut de 
defaut valide, c'est-a-dire que I'anomalie constatee 
s*est maintenue et que le defaut est reellement present. 
Ce defaut est memorise en tant que defaut valide aprds 
avoir ete detecte par exemple n fois successivement au 
cours d'une deuxieme etape de validation, constituent en 
quelque sorte un filtre temporel. Une fois ce defaut 
valide memorise, 1' unite de traitement d ' informations UC 
peut appliquer une strategie dite de secours apres vali- 
dation qui est egalement un fonctionnement selon un mode 
semi-degrade du systeme et qui peut etre different du 
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premier mis en oeuvre lors de 1 ' application de la strat6- 
gie preventive de secours, 

A ce stade, si le d^faut disparait ou s'll y a 
coupure du contact du v^hlcule, ce d^faut passe de I'^tat 
5 valld6 d I'dtat fugltlf. 

On notera Sgalement que dans les cas de defauts 
graves de fonctlonnement, pouvant toucher a la security 
des occupants du v^hlcule, la strategie preventive de 
secours et la strategie de secours apres validation 
10 peuvent etre Identlgues. 

II en est de meme pour les Stapes de validation 
des defauts non conflrm^s et valldSs. 

Cecl permet de r^aglr rapldement face aux proble- 
mes et d' alerter ou non rapldement le conducteur du 
15 v^hlcule. 

Lorsque le defaut est valld^, 11 y a en m^e 
temps creation d'un compteur ayant pour valeur X par 
exemple« Lorsque ce defaut valld^ devlent fugltlf, ce 
compteur est decremente a chaque coupure du contact 
20 Jusqu'd z^ro. On congolt alnsl qu'au bout de X mlses sous 
tension du vehlcule, le defaut fugltlf disparait comple- 
tement s*ll ne s'est plus reprodult. Cecl permet de dater 
1' apparition du defaut. 

Alnsl qu'on I'a Indlque precSdemment , une autre 
25 fagon de falre seralt de garder le defaut vallde memorise 
apr^s la coupure du contact. A la mlse sous tension 
sulvante du vShlcule, ce defaut ne devlendralt fugltlf 
que si son absence est confirm^. 

Le tableau cl-dessous lllustre une telle analyse 
30 pour la detection de defauts. 



FONCTION 
OU OR6ANE 
TESTE 


ANOMALIE 
DETECTEE 


STRATEGIE DE 
DETECTION 


STRATEGIE 
PREVENTIVE 
DE SECOURS 


NOKBRE DE 
DETECTIONS 
POUR VALIDATION 


STRATEGIE 
DE SECOURS 

APRES 
VALIDATION 


ANNUIATION 
STRATEGIE 
DE SECOURS 


1 ^ 


2 


3 


4 


5 


6 


7 
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1 - Fond: ion ou organe teste : nom de 1 ' organe 
teste (capteur actionneur, calculateur, etc..) ou de la 
f ohctlon ( alimentation, etc. . . ) , 

2 - Anomalie d&tectee : liste des di££6rentes 
5 anomalies detectables, 

3 - StratSgie de detection : condition(s) de de- 
tection permettant de deceler 1' anomalie, 

4 - Strategie preventive de secours : definition 
du mode degrade mis en oeuvre d^s la detection d*un 

10 defaut et avant sa validation, 

5 - Nombre de detections pour validation : un 
defaut doit etre detecte n fois consecutives pour etre 
enregistre dans la memoire de 1' unite de traitement 
d ' informations en tant que defaut valide (dans ce cas, un 

15 compteur associe sera mis ^ une valeur X), 

6 - Strategie de secours apres validation : defi- 
nition du mode degrade mis en oeuvre des que le defaut 
est valide, 

7 - Annulation de la strategie : condition(s) 
20 necessaire( s ) au retour ^ un mode de f onctionnement 

normal ( annulation de 1 ' une ou 1 • autre des strategies de 
secours) et de remise e zero du compteur associe e ce 
defaut. 

Comme il ressort de ce qui precede, les etapes de 
25 detection et de validation d'un defaut non confirme et de 
transformation de ce defaut non confirme en defaut 
valide, realisees par exemple lors des etapes 12 et 17 
decrites en regard de la figure 2, peuvent consister en 
fait e detecter le defaut pendant deux periodes de temps 
30 differentes, celle associee e l*etape 17 de transforma- 
tion du defaut non confirme en defaut valide etant plus 
longue que celle associee e I'etape 12 de detection d*un 
defaut non confirme. 

Comme on l*a indique precedemment egalement, les 
35 strategies preventive de secours et de secours apres 
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validation peuvent consister en des modes de fonctlonne- 
ment semi -degrade du systeme. 

Ces modes de f onctlonnement seml-d^grade peuvent; 
alors comporter des dtapes de simulation d ' Informations 
5 et/ou d' inhibition de certalnes fonctlonnallt^s du 
syst&ne • 

Un tel f onctlonnement sera mleux corapris a la 
lumlere de la figure 3, qui lllustre un procede d' analyse 
des defauts de f onctlonnement d'un syst^me assocl^ ^ un 
10 capteur de vltesse du vehlcule, dans lequel le d^faut de 
f onctlonnement est 1 ' absence de signal de sortie de 
Vitesse du capteur lorsque le v6hlcule roule. 

Sur cette figure 3, les 6tapes 30 ^ 46 correspon- 
dent respectivement aux Stapes 10 ^ 26 de la figure 2. 
15 Le tableau cl-dessous correspond ^ cette analyse. 





FONCTION 
OU ORGANE 
TESTE 


ANOMALZE 
DETECTEE 


STRATEGIE DE 
DETECTION 


STRATEGIE 
PREVENTIVE 
DE SECOURS 


NOMBRB DE 
DETECTIONS 
POUR VALIDA- 
TION 


STRATEGIE DE 
SECOURS 
AFRBS 
VALIDATION 


ANNUI^ATION 

STRATEGIE 

DE SECOURS 




Capteur de 
Vitesse 
v6hicule 


Capteur 
d6branch4 
ou hors 
service 


Acc616rateur 
enfonc6 de plus 
de 20 % ou pa- 
pi lion enfoncd 
plus de X %. 
pendant 10 s 
cons6cutives et 
pas de signal 
Vitesse 


Automatlsme 

conserve 
avec vltesse 
v6hlculB - 
80 kn/h at 
inhibition 
des passages 
en feme sur 
angle volant 


30 


Automatlsme 

conserve 
avec vltesse 
vdhicule - 
130 Kffl/h et 
inhibition 
des passages 
en ferme sur 
angle volant 


50 ni par- 
courus ou 
coupure de 
contact 




I 


2 


3 


4 


5 


6 


7 



7.5 

On congolt alors que l*etape 31 concerne la sur- 
veillance des d&fauts sur le capteur de vltesse du v6hi- 
cule« La detection d'une anomalle peut par exemple rSsul- 
ter de la detection d'un acc616rateur enfonc6 de plus de 
30 20 % ou d'un paplllon en£onc6 de plus de X %, alors qu'll 
n'y a pas de signal de vltesse present en sortie du 
capteur . 

La validation du defaut non confirme correspon- 
dent peut par exemple consister en une detection de I'ab- 
3 5 sence du signal pendant dlx secondes (10 s) consdcutlves 
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avant la memorisation de ce d^faut sous une forme non 
conf irm&e lors de 1 ' etape 33 . 

Le d6clenchement en 34 de la strat^gle preventive 
de secours peut alors consister h conserver 1 'automa-tlsme 
du systdme correspondant: avec une vitesse * simulee et 
fictive Impos^e par I'unit^ de traitement d ' informations 
UC par exemple de 80 km/h et en xine inhibition des sous- 
programmes utilisant la vitesse pouvant cr^er un fonc- 
tionnement eratique touchant S la s^curit6 des occupants 
du vShicule. 

L'&tape de transformation du dSfaut non confirm^ 
en ddfaut confirm^ peut par exemple consister en une 
detection d'une absence de signal pendant par exemple 30 
fois 10 secondes, avant d'appliquer la strat^gie de 
secours aprds validation, lors de 1* etape 40, au cours de 
laquelle 1 ' automat isme du systdme est conserve avec une 
Vitesse fictive impos^e par l'unit6 de traitement d' in- 
formations UC de 130 km/h et 1' inhibition des sous- 
programmes utilisant la vitesse, pouvant creer un fonc- 
tionnement Pratique de celui-ci. 

On congoit alors que le precede et le disposition 
selon 1 ' invention presentent un certain nombre d • avanta- 
ges dans la mesure oQ ils permettent de conserver le plus 
longtemps possible au moins une partie des fonctionna- 
lites du systdme. 
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REVENPI C ATIQNS 

1. - Precede d' analyse des d6fauts de fonctlonne- 
ment d'un syst^me (1) embarqu^ ^ bord d'un vehlcule auto- 
mobile, caract:6r±sd en ce qu'll compor'te les 6t:apes sul-> 
vantes : 

1) - analyse cycllque (en 11, 12) du fonctlonne- 
ment: du systeme pour d^tecter 1 ' apparllrion d*un dSfaut de 
foncklonnement de celui-ci, 

2) * m^orlsatlon (en 13) du defaut; sous la forme 
d*un dSfaut: non confirm^, 

3) - d^clenchement (en 14} d'une stratdgle pre- 
ventive de secours sous la forme d'un fonctlonnemenl: dans 
un premier mode semi-degrade du syst^e, 

4) - surveillance (en 15) du contact du vehlcule 
pour ef facer (en 16) le defaut non confirme memorise en 
cas de coupure du contact, 

5) - analyse (en 17) du fonctlonnement du systeme 
pour transformer (en 18) le defaut non confirme en defaut 
valid6 en cas de persistance du defaut ou ef facer (en 19) 
le defaut non confirm^ en cas de disparition de celui-ci, 

6) - memorisation (en 18) du defaut valid^, et 
7} - declenchement (en 20) d'une strat^gie de 

secours apres validation sous la forme d ' un f onctionne- 
ment dans un second mode semi -degrade du systeme. 

2. - Precede selon la revendication 1, caract^rise 
en ce qu'il comport e apres I'etape 7) de declenchement 
(en 20) de la stratSgie de secours apr^s validation, une 
etape d* analyse (21) du fonctlonnement du systeme pour 
detecter la disparition du defaut valide et dans ce cas, 
le transformer en defaut fugitlf (en 23). 

3. - Precede selon la revendication 2, caracterise 
en ce que I'^tape (23) de transformation d'un defaut 
valide en defaut fugitlf est associee k une etape de 
creation (en 24} d*un compteur affecte au defaut fugitlf 
correspondant et a 1 ' etabllssement (en 24} de celui-cl ^ 
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une valeur pr^d^terminee, et en ce que ce compteur est 
decrements (en 25, 26), jusqu'S z6ro, S chaque coupure du 
contact du v^lcule. 

4. - Procedd selon la revendlcatlon 1, caract6rls6 
en ce que le dSfaut vallde mSmorlsS est transform^ en 
dSfaut fugitif s±, a la suite d'une coupure et d'une 
remise du contact du vShicule, ce defaut a dlsparu. 

5. - Proc6d6 selon I'une quelconque des revendi- 
cations prScddentes, caractSrlsS en ce que le syst&ne (1) 
dont 11 y a lieu d' analyser le fonctlonnement est un 
systtoe associS h un capteur (3) de vltesse du vehlcule, 
dont le dSfaut de fonctlonnement est 1* absence de signal 
de sortie de vltesse lorsque le vehicule roule* 

6. - Precede selon la revendlcatlon 5, caracterlse 
en ce que les etapes 1 ) et 5 ) consistent d dStecter 1 * ab- 
sence de signal de sortie du capteur pendant deux pSrlo- 
des de temps dlffdrentes, celle associSe S l*dtape 5) 
Stant plus longue que celle assoclSe ^ 1 ' Stape 1 ) • 

Precede selon la revendlcatlon 5 ou 6, carac- 
t6rls6 en ce que les strategies preventive de secours et 
de secours apres validation consistent a slmuler pour le 
reste du systdme, des slgnausc de vltesse prSdStermlnSs et 
d Inhlber certalnes fonctlons de celul-cl. 

8.- Disposltif d' analyse du fonctlonnement d'un 
systtoe embarqu6 ^ bord d'un vehicule automobile, pour la 
mlse en oeuvre d*un precede selon l*une quelconque des 
revendlcatlons precedentes, caracterlse en ce qu'll 
comporte une unltS de traltement d * informations (2) asso- 
ci6e au systSme ( 1 ) dont 11 y a lieu d ' analyser le fonc- 
tlonnement et recevant une information relative S l*etat 
du contact du vehicule. 
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FIG. 1 
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Mise en marche 
du vehicule 
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Surveillancs des defauts 




r 



J1 



cet element 
VALIDATION 1 



12 
non 



,oui 



Memorisation d un defaut 
non confirme 



I 



13 



Apglication de la strategie 
preventive de secours 
(SPOS) 

I 



.14 



15 



^^Coupure du confact ? 



QUI 



< 



non 



17 



VALIDATION 2du defaut? 



1 


^ oui 


Memorisation d'un 
defaut valide 



non 



Application de la strategic 
de secours apres 
validation (SSAV) 



y 

21 



18 



20 



25 



<"COMPTEUR "de \oui 
ce defairfa 0? >• 



i 



non 



Decrementation 
de ce compteur 
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Effacement du 
defaut non confirme 



Effacement du 
defaut non confirme 



> r svRon Memorisation 

< C Defaut toujours present d un defaut 



oui 



fugitif 



Memorisation 
d une valeur 
tOMPTEUR'a X 



Un defaut valide est 
en memoire 



22 



2b/ 

FIG. 2 
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Surveillance des defauts sur 
le caj)teur vitesse d un 
systeme de suspension 
electronique. 



Anjpalie detecteg : 
Accelerateur enfonce de plus 
de 20% ou papillon enfonce 
de plus de x% ef pas de 
signal vitesse 



non^ 
I— <abs( 



"^oui 



. /alidation 1 iComptage 
absence du signal pencSnt 
^ 10s conse cu five s 
Toui 
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COMPTEUR de ce 
defauf a 0 ? 



^nop 



Decrementation de ce 
compteur 



1. 
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lemorisation d un defauf 
non confirme 



33 



Application de la SPQS : Aufomatisme 
du systeme conserve avec une 
v|tesse ficfiye imposee pari UC de 
80Km/h ef inhibition des sous 
programmes, ufilisanf la vitesse 
pouvant creer un .fonctionnemenf 
eratique fouchant d la securif e 
des occupants. . 
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< Coupure du contact ? 

^i^*-/ vaidatiqn 2 : signal absent\ , 
\ pendant 30 x^lOs 
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Effacemenf du defauf 
non confirm^ 



Memorisation dm defauf 
non confirme 



OUI 



Memorisation d un defauf 
valid^ 
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Application de ia SSAV: Aufomatisme du 
systeme conserve avec une vitesse 
ficfive impos6e par L'UC de 130 Km/h 
et mniqifion des sous-programmes 
utilisant la vitesse pouvanr creer 
un fonctionnemenf eratique 
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<^ Defauf foujours present? > 



non 



TouT 
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Un defauf valide est 
en memoire. 
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Memorisation 
d'un 
defauf 
fugitif 
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Memorisation 
d'une valeur 
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